Was heute umgesetzt ist: wo der Dienst läuft, wie Ihre Daten verschlüsselt werden, wie Konten geschützt sind und was diese Seite nicht behauptet. Eine Beschreibung, kein Zertifikat und kein Prüfbericht.
Stand: 22.10.2026
Verschlüsselung
Belegdateien und die persönlichen und finanziellen Felder werden mit AES-256-GCM verschlüsselt. Jedes Konto hat einen eigenen Datenschlüssel.
Drei Schichten mit eigenen Schlüsseln. Der Hauptschlüssel umhüllt den Datenschlüssel jedes Kontos, und dieser umhüllt jeden Dateischlüssel.Vollständiger Hinweis
Belegdateien und die persönlichen und finanziellen Felder werden in der Anwendung mit AES-256-GCM verschlüsselt, bevor sie gespeichert werden. Jedes Konto hat einen eigenen Datenschlüssel. Jede Belegdatei hat einen eigenen Schlüssel, den der Datenschlüssel des Kontos einschließt. Der Kontoschlüssel wird von einem Hauptschlüssel eingeschlossen, der weder in der Datenbank noch im Quellcode liegt. Der Kontoschlüssel wird nicht aus Ihrem Passwort abgeleitet: Eine Änderung oder Zurücksetzung des Passworts sperrt Ihre Daten nicht, und beim Löschen des Kontos wird der Schlüssel vernichtet. Passwörter werden nur als Argon2id-Hash gespeichert. Verbindungen zur Datenbank nutzen TLS.
Zwei-Faktor-Anmeldung
Eine Authenticator-App (TOTP) und Wiederherstellungscodes stehen jedem Konto zur Verfügung. Für Administratoren und Mitarbeitende ist sie Pflicht.
Vollständiger Hinweis
Jedes Konto kann eine Authenticator-App (TOTP) einschalten und erhält Einmal-Wiederherstellungscodes. Ein E-Mail-Code ist als optionaler zweiter Schritt verfügbar und wird nicht mehr angenommen, sobald ein Authenticator aktiv ist. Konten von Administratoren und Mitarbeitenden müssen einen Authenticator einrichten, bevor sie den Verwaltungsbereich öffnen können; die Einladung neuer Mitarbeitender enthält diesen Schritt.
Kontoschutz
Anmeldeversuche sind begrenzt, Passwörter werden über einen Einmal-Link zurückgesetzt, E-Mail-Änderungen werden bestätigt.
Vollständiger Hinweis
Passwörter müssen mindestens 12 Zeichen lang sein und werden mit einer Liste häufiger Passwörter abgeglichen. Nach wiederholten Fehlversuchen wird das Konto für eine Weile gesperrt. Ratenbegrenzungen gelten über alle Server hinweg und werden in der Datenbank geführt; Anfragen zu Anmeldung, Codes, Registrierung und Passwort-Zurücksetzung werden abgelehnt, wenn diese Prüfung nicht laufen kann. Ein vergessenes Passwort wird über einen Einmal-Link zurückgesetzt, der nach 60 Minuten abläuft; seine Nutzung meldet alle Sitzungen ab. Unsere Mitarbeitenden können Ihnen einen Link zum Zurücksetzen senden, sehen aber weder den Link noch Ihr Passwort. Eine Änderung der E-Mail-Adresse erfordert Ihr Passwort und einen Code an die neue Adresse; danach werden die alte und die neue Adresse benachrichtigt. Neue Registrierungen bestätigen ihre E-Mail-Adresse mit einem Code.
Trennung zwischen Konten
PostgreSQL Row-Level Security hält die Datensätze jedes Kunden getrennt, zusätzlich zu den Prüfungen in der Anwendung.
Vollständiger Hinweis
Jede Anfrage ist auf die Konten beschränkt, zu denen sie gehört. Zusätzlich zu den Prüfungen in der Anwendung begrenzen Row-Level-Security-Richtlinien in PostgreSQL jede Abfrage auf die Datensätze dieser Konten, als zweite Verteidigungslinie in der Datenbank selbst. Unsere Mitarbeitenden können Ihre Belege und Steuerdaten nicht öffnen, es sei denn, Sie gewähren einen zeitlich begrenzten Support-Zugriff; jede Nutzung dieses Zugriffs wird protokolliert.
Browser und Verbindung
HTTPS mit HSTS, HttpOnly- und Secure-Sitzungscookies, CSRF-Token und eine strenge Content Security Policy.
Vollständiger Hinweis
Website und API sind nur über HTTPS erreichbar und senden HSTS (Strict-Transport-Security, einschließlich Subdomains, ohne Preload-Kennzeichen). Die Sitzung liegt in HttpOnly-, Secure- und SameSite=Strict-Cookies, nicht im Browserspeicher. Jede Anfrage, die Daten ändert, muss ein CSRF-Token tragen, das zur Sitzung passt. Die Seiten senden eine Content Security Policy mit einer Nonce pro Anfrage und lassen sich nicht in fremde Seiten einbetten.
Prüfprotokoll
Das Protokoll ist nur anhängbar. Eine Zeile behält die Aktion und eine Zahl, nicht die E-Mail und nicht den Betrag.
Vollständiger Hinweis
Das Prüfprotokoll ist nur anhängbar: Die Datenbank lehnt Änderungen und Löschungen ab. Eine Zeile hält die Aktion und, wo nötig, eine Anzahl oder einen Feldnamen fest, aber nicht Ihre E-Mail, Beträge oder Kommentartexte. Protokolliert werden Anmeldungen, fehlgeschlagene Anmeldungen, Downloads von Originalen und Exporten sowie Support-Zugriffe.
Export und Löschung
In den Einstellungen können Sie Ihre Daten exportieren oder Dateien, Datensätze oder das ganze Konto löschen. Jede Löschung verlangt Ihr Passwort und einen Einmalcode per E-Mail.
Vollständiger Hinweis
Eine komprimierte Kopie jeder Belegdatei wird 2 Jahre ab Belegdatum aufbewahrt; die ausgelesenen Felder und das Journal bleiben danach erhalten. Für die Aufbewahrung von Unterlagen so lange, wie das Gesetz es verlangt, sind Sie selbst verantwortlich; exportieren Sie daher, was Sie noch brauchen. In den Einstellungen können Sie Ihre Daten herunterladen, gespeicherte Dateien löschen, gespeicherte Datensätze löschen oder das Konto löschen. Jede Löschung verlangt erneut Ihr Passwort und einen Einmalcode, der an Ihre E-Mail-Adresse geschickt wird. Belegdateien werden aus dem Speicher gelöscht, auch aus dem Objektspeicher in Paris. Das Löschen des Kontos vernichtet außerdem seinen Datenschlüssel, sodass verschlüsselte Felder und Dateien in einer Sicherung nicht mehr geöffnet werden können. Eine gekürzte Buchungszeile (Zeitraum, Nummer, Datum, Richtung und Beträge, ohne Namen und Dateien) kann für eine einstellbare Aufbewahrungsfrist bleiben. Die Löschung entfernt Sicherungen des Anbieters nicht direkt.
Prüfungen, die jeder wiederholen kann
Zwei öffentliche Scanner prüfen diese Website von außen. Die Noten unten sind die letzten Ergebnisse, die wir selbst geprüft haben. Über den Link lässt sich der Test erneut starten.
Die Daten bleiben in der EU: Scaleway, Region Paris.
Sensible Felder und Dateien sind verschlüsselt (AES-256-GCM). Verbindungen nur über TLS.
Die Datenbank, ihre Logs und Snapshots sind auf EU-Servern zusätzlich im Ruhezustand verschlüsselt (AES-256, Schlüssel verwaltet vom Hosting-Anbieter).
Ihre Dokumente werden nicht zum Training von KI-Modellen verwendet.
Keine Tracking-Cookies, keine Analyse, keine Werbung.
Wo der Dienst läuftScaleway, Paris (EU). Die Anwendung verarbeitet Ihre Daten in der EU und nutzt sie nicht zum Training von KI-Modellen.
Website, API, PostgreSQL-Datenbank, Belegspeicher und Schlüssel laufen bei Scaleway in der Region Paris (Frankreich, EU). Belege werden über den EU-Endpunkt von Mistral gelesen. Die Anwendung sendet keine Kundendaten aus der EU und verwendet sie nie zum Training von KI-Modellen: Sie lehnt jeden Trainingszweck ab, und das Training mit API-Aufrufen ist im Mistral-Konto abgeschaltet.
Was in der Datenbank lesbar bleibtDatumsangaben, Statuswerte und Währungscodes bleiben lesbar. Namen und Beträge sind verschlüsselt.
Namen, Rechnungsnummern, Beträge, USt-IdNr. und der aus dem Beleg gelesene Text werden in der Datenbank verschlüsselt. Die Anmeldung nutzt einen Einweg-Index der E-Mail, die Adresse steht nicht im Klartext. Datumsangaben, Status und Währungscodes bleiben lesbar, damit eine Periode gelistet werden kann. Die Suche nach einem Namen läuft in der Anwendung nach der Entschlüsselung und nur in diesem Konto. Nach dem Löschen des Kontos kann eine gekürzte Aufbewahrungszeile eine Belegnummer, Beträge, ein Datum und eine Richtung im Klartext behalten. Sie behält keinen Namen, keine E-Mail und keine Datei.
Verschlüsselte FelderDatumsangaben, Status und Währungscodes sind nicht verschlüsselt.
Lieferantenname, USt-IdNr. und Registriernummer des Lieferanten, Rechnungsnummer, Netto-, USt- und Bruttobeträge, USt-Zeilen, ausgelesene Daten, Notizen, eigene Kategorie, Teamkommentar, Buchungskonto, Dateinamen
Ausgangsrechnungen
Nummer, Name, Kennung und E-Mail des Käufers, Beschreibung, Notizen, Positionen, Beträge
Weitere Dienste, die die Anwendung nutztScaleway (Hosting und E-Mail-Versand), Hostinger (Domain und Postfächer), Mistral in der EU, VIES und die litauische Open-Data-Abfrage.
Scaleway (Paris, EU): Website, API, Datenbank, verschlüsselte Belegdateien (Objektspeicher), Schlüssel und Secrets, Protokolle und ausgehende E-Mails.
Hostinger: die Domain vectorinvoice.lt, ihr DNS und die Postfächer, in denen an uns gesendete E-Mails ankommen, etwa Support-Anfragen.
Mistral, nur über den EU-Endpunkt (api.eu.mistral.ai), um einen Beleg zu lesen, einen Satz in einen Entwurf zu verwandeln oder eine kurze Aufnahme zu transkribieren. Andere Mistral-Hosts sowie die Datei- und Agenten-APIs lehnt der Code ab. Das Training mit API-Daten ist im Mistral-Konto abgeschaltet (bestätigt am 17. Oktober 2026). Zero Data Retention wurde nicht beantragt.
Der VIES-Dienst der Europäischen Kommission, wenn eine USt-IdNr. abgefragt wird und die Abfrage nicht aus ist.
Der offene Datensatz unter get.data.gov.lt für eine Unternehmensnummer, unter demselben Schalter.
SicherheitstestsDer Code wird bei jeder Änderung automatisch geprüft und in internen Penetrationstests untersucht. Ein externes Audit oder Zertifikat wird nicht behauptet.
Jede Änderung durchläuft automatische Tests, einen Sicherheits-Selbstcheck, statische Analyse, Abhängigkeitsprüfungen und eine Suche nach Geheimnissen im Code. Im Oktober 2026 haben wir interne Penetrationstests der Anwendung durchgeführt (Code-Review und vorsichtige Prüfungen der laufenden Website); die Ergebnisse wurden im Code nachverfolgt. Das sind unsere eigenen Tests, kein zertifiziertes Audit durch Dritte.
Schwachstelle meldenSchreiben Sie an support@vectorinvoice.lt. Unsere security.txt nennt denselben Kontakt.
Wenn Sie glauben, ein Sicherheitsproblem gefunden zu haben, schreiben Sie an support@vectorinvoice.lt mit einer kurzen Beschreibung und den Schritten zum Nachvollziehen. Bitte greifen Sie nicht auf Daten anderer zu, führen Sie keine Lasttests (DoS) durch und veröffentlichen Sie keine Details, bevor wir das Problem beheben konnten. Der Kontakt steht auch unter /.well-known/security.txt.
Was diese Seite nicht behauptetKein Zertifikat und kein externes Audit.
VectorInvoice hat kein ISO-27001-, SOC-2- oder anderes Sicherheitszertifikat, und kein externer Prüfer hat den Dienst bewertet. Die oben genannten Sicherheitstests sind intern. Zero Data Retention bei Mistral wurde nicht beantragt. Die Anbieterangaben stehen im Impressum (/legal#imprint).
Fragen
Wird der Dienst in der EU gehostet?
Ja. Website, API, Datenbank und Belegdateien laufen bei Scaleway in Paris, Frankreich. Belege werden über den EU-Endpunkt von Mistral gelesen.
Muss ich einen Authenticator nutzen?
Als Kunde nicht, aber Sie können ihn jederzeit in den Einstellungen einschalten. Bewahren Sie die Wiederherstellungscodes sicher auf. Für Konten von Administratoren und Mitarbeitenden ist er Pflicht. Ein E-Mail-Code ersetzt keinen Authenticator, der bereits aktiv ist.
Sind die Belegfotos verschlüsselt?
Ja. Jede Belegdatei hat einen eigenen Schlüssel, den der Datenschlüssel Ihres Kontos einschließt, und liegt verschlüsselt im Objektspeicher in Paris. Die persönlichen und finanziellen Felder sind ebenfalls verschlüsselt; Datumsangaben, Status und Währungscodes nicht. Der Datenschlüssel wird nicht aus Ihrem Passwort abgeleitet und beim Löschen des Kontos vernichtet. Das ist eine Beschreibung, keine Zertifizierung.
Kann ich die Daten mitnehmen oder das Konto schließen?
Ja. In den Einstellungen können Sie Ihre Daten herunterladen, gespeicherte Dateien löschen, gespeicherte Datensätze löschen oder das Konto löschen. Jede Löschung verlangt Ihr Passwort und einen Einmalcode per E-Mail; der Code gilt 10 Minuten und nur einmal. Das Löschen des Kontos löscht Dateien und Datensätze, meldet Sie überall ab und vernichtet den Datenschlüssel des Kontos, sodass verschlüsselte Kopien, auch in Sicherungen, nicht mehr geöffnet werden können. Eine gekürzte Buchungszeile kann für eine einstellbare Aufbewahrungsfrist bleiben. Kopien der Belegdateien werden 2 Jahre ab Belegdatum aufbewahrt; exportieren Sie, was Sie länger behalten möchten.
Trainiert ihr ein Modell mit meinen Rechnungen?
Nein. Die Anwendung lehnt jeden Trainingszweck für Kundeninhalte ab, und das Training mit API-Aufrufen ist in unserem Mistral-Konto abgeschaltet (bestätigt am 17. Oktober 2026). Belege, Sätze und Aufnahmen gehen nur an den EU-Endpunkt von Mistral und nur, um Ihre Anfrage zu bearbeiten. Zero Data Retention wurde nicht beantragt; Mistral kann Anfragen daher nach seinen eigenen Bedingungen für begrenzte Zeit speichern.
Kann ich einen Auftragsverarbeitungsvertrag bekommen?
Ja. Der Auftragsverarbeitungsvertrag (AVV/DPA) ist Teil der Nutzungsbedingungen und gilt automatisch. Sie können ihn auf der DPA-Seite lesen und herunterladen.
Auftragsverarbeitung
Der Auftragsverarbeitungsvertrag (AVV/DPA) ist Teil der Nutzungsbedingungen und gilt automatisch. Sie können ihn auf der DPA-Seite lesen und herunterladen.
Es wird kein ISO-27001- oder SOC-2-Zertifikat, kein externer Prüfbericht und kein Hosting-Siegel behauptet. Diese Seite ist eine Beschreibung, keine Bestätigung.
VectorInvoice